経営層、管理層がセキュリティ人材に装備を与え、経験値をためさせるためにすべきこと：RPGに学ぶセキュリティ〜第1章 レベルアップ編〜（1/2 ページ）

40〜50代の経営者や管理職に向けて、RPGを題材にセキュリティについて理解を深めてもらう連載。初回は「レベルアップ」編として、セキュリティ人材が装備を整える難しさ、そして人材育成の難しさについて、RPGスタート時の主人公の育成に例えてお話しする。

[武田一城，株式会社ラック]

　1980年代、それまで全盛だったアクションゲームやシューティングゲームからすると非常に異色なゲームが登場した。それは現在ではメジャーとなったロールプレイングゲーム（以下、RPG）だ。主人公を操作する点はこれまでのゲームと変わらないが、よりストーリー性の高い複雑なゲームだった。後に、その中間に位置するアクションRPGなどでも名作と呼べるものが幾つも登場したので、現在ではその差はあいまいだが、とにかくその当時としては「驚くべき異色のゲームが誕生した」――と、当時小学生だった筆者は感じた。

　このRPGは職業を選択して転職したり、経験値をためたりすることで、賢く、強くなる。また、冒険の中で得たお金で装備を充実させることで強くなることもある。その舞台が妖精や魔法が当たり前にあるような異世界かつファンタジーであることが多いことを除けば、人々の営みや人の成長があり、ある人の人生に成り代わっているようにゲームは進んでいく。それは、まさに人生の一場面そのもののようになっていることも多い。

　そして、このRPGの場面や世界観は、場合によってはセキュリティ対策の現状と近いことも多い。そこで、「RPGに学ぶセキュリティ」というテーマで連載を行おうと思い立った。両者を比較することで、セキュリティについて分かりやすくお伝えできるのではないかと考えている。

経営層、管理層こそ――RPGからセキュリティを学べる理由

　「なぜ、RPGからセキュリティを学べるか」というと、その理由は、セキュリティ自体が、ITに詳しくない方からすると異世界やファンタジーのようなものだからだ。

　筆者としては、皆さんが過去にプレイしたゲームのように、セキュリティをもっと身近に感じてほしいと思っている。

　ニュースなどで情報漏えいといったITのセキュリティに関する事件が報道されているものの、ITに詳しくない方にとってセキュリティは身近なものとはいえない。「世界中からサイバー空間を通じて、あなたに攻撃を仕掛けてくる」と言われても、会ったことも話したこともない、そもそも本当に存在するかどうかも分からない攻撃者やハッカーからの脅威を自分自身のリスクと感じることは非常に難しいからだ。

　その上、そのリスクを低減させるセキュリティ対策には、それなりのコストがかかる。「認識すらしていないリスクを低減させるために、どれだけコストをかけられるか？」と自問自答してみれば、「そのようなものにコストをかけない」となるのは自明だろう。特に、経済観念が発達した人がサイバー攻撃などのリスクを認識していない場合、セキュリティ対策にお金を払うことを「大事なお金をドブに捨てる」行為のように感じるだろう。

　この「経済観念が発達していて、セキュリティリスクを認識していない人」は、組織や事業を運営している経営者や、それに近い上位の管理職の方と一致することが多い。一方で、セキュリティの脅威を身近に感じることができ、専門的な技術を持つセキュリティ人材であり、経済観念が発達している――つまり、お金もうけが得意である人は決して多くはない。そのため、セキュリティ人材と経営層とが同じレベルでリスクを認識するのは難しいのだ。

　そこで、「どのようにすれば、経営者や管理職の方がリスクを認識できるか」をいろいろ考えてみた。

　その答えの一つが、皆さんが知っている身近なものを例え話にする方法だ。過去に筆者は、戦艦大和や戦国時代の城郭、今回のRPGに近い漫画やアニメの分野――例えば『進撃の巨人』『機動戦士ガンダム』などをモチーフにセキュリティについて記事を執筆してきた。特に『機動戦士ガンダム』を用いたセキュリティの例え話は、かなりの反響があった。

　もう、お気付きの方もいるかもしれないが、この『機動戦士ガンダム』や今回のRPGは現在でも新作が作られているが、筆者の記事では1980年代かそれに近いものしか扱っていない。それは、最近の話題を筆者がよく知らないというのもあるが、実は狙いがある。

　その狙いとは、その頃子どもだった世代はすでに40〜50代になっているという事実だ。40〜50代は経営者や上位の管理職になっている世代であり、今回の例え話のテーマとしたRPGの幾つかの代表作も、40〜50代に直接響きやすい題材になる。つまり、経営者や管理職に響く題材というわけである。そのため、本連載で語られるRPGは1980年代かそれに近い頃のものと思って読み進めてほしい。

　経営者がサイバー攻撃のリスクを認識すれば、「セキュリティ対策がどうして必要か」を理解できる。「サイバー攻撃によるインシデントが経営にどれほどのインパクトを与えるか」を当たり前の経営リスクとして認識することもできる。そうなると、企業のセキュリティ人材は、もう「なぜセキュリティ対策をしなければならないか」を経営者に説明する必要はなくなり、それが実行できる「ヒト」「モノ」「カネ」の経営リソースをそろえるだけで済む。これによって、危機にひんしている人々をサイバー攻撃というモンスターから救えるようになるのだ。

　つまり、RPGでセキュリティを語る冗談のような本連載が、現場で困っているセキュリティ担当者を助けるかもしれないのだ。企業のセキュリティ人材の方は、ぜひこの連載を経営者、管理職に薦めてほしい。

　連載内容としては下記を想定している。

• 第1章「レベルアップ」編（攻撃者の方が強くなりやすい）
• 第2章「自分の城にあった伝説の剣で倒されたラスボス」編（情報の整理と棚卸しの重要性）
• 第3章「洞窟に入った主人公」編（攻撃者も侵入当初は暗がりの中）
• 第4章「転職と上級職」編（セキュリティ人材も上級職）
• 第5章「ラスボスを倒した後の主人公」編

　初回となる今回は「レベルアップ」編として、セキュリティ人材が装備を整える難しさ、そして人材育成の難しさについて、経営者、管理職にも分かるように、RPGスタート時の主人公の育成に例えてお話しする。

フィールドのモンスターを倒して経験値をためる主人公

　RPGにおいて、ほとんどの場合スタート時の主人公は非常に弱い存在である。大抵王家の末裔（まつえい）などの家柄こそ良いことが多いが、それを差し引いても単なる少年か少女にすぎない。そのような少年／少女が成長していき、いつしか世界を救うというようなサクセスストーリーとなるのだ。

　この弱い存在の主人公が経験値をため、より強い武器、防具を装備しながらだんだんと強くなって最終目標の「ラスボス」を倒すのがRPGの醍醐味（だいごみ）だ。そして、主人公がどうやって強くなるかというと、フィールド上にいるモンスターを倒して、経験値とお金（「ゴールド」「ギル」など）を手に入れることが基本になる。

経験値をためてレベルアップ

　経験値が一定以上たまると景気の良いファンファーレがどこからともなく聞こえてくる。それがレベルアップの合図で、HP・MP・力・素早さ・攻撃力・守備力などの各ステータスが向上するのだ。

お金をためて強い武器、防具を購入

　さらに、経験値とともにお金を得ることで、強い武器、防具を購入するなどしながら、RPGの主人公は強くなっていくのである。

　余談だが、よくよく考えてみると敵のモンスターたちが人間の世界で流通する貨幣を持ち歩いていることがそもそもおかしい。特にさまざまなRPGに必ず出てくるゲル状のモンスターは、どう考えても隠し持つことができない。まぁ経験値という分かりにくいものだけではうまく話が進まないので、一定のリアリズムを無視した演出も必要だったのだろう。

　さて、スタート時の主人公のステータスは、どれも最初に出てくる弱いモンスターにやっと殺されないレベルである。しかし、最初は最弱レベルのモンスターしか倒せなくても、多くのモンスターを倒して得た経験値とともに強い武器、防具を手に入れた頃には、それらは敵ではなくなる。

　さらに、武器屋で買えないような伝説の武器を見つけて、それを装備できるようになれば、ドラゴンのような、いかにも強いモンスターも苦もなく倒せるようになるだろう。そして、いくつかのストーリーを経て、謎解きを制覇した後は、最終目標のラスボスを倒せるレベルの強さになっているだろう。

そもそも、RPGでは強くなるための環境が整っている

主人公の成長

　このようにRPGにおいては、フィールド全体が主人公を徐々に強くする鍛錬の場そのものとなる。さらに各フィールドには、主人公が倒せる実力を得られるまで（そのフィールドのボスや中ボスを倒すまで）、より強いモンスターがいる新しいフィールドにたどり着けない仕組みがある。

　これがうまくできてないと、主人公が即死する事態になり「ゲームバランスが悪い」と酷評されてしまうのだ。このように、主人公は「きっちり段階を経て強くなることができる仕組み」の中で成長していくのだ。